猎虫者水煤浆他说，他发现的漏洞
告诉登记册这些漏洞是由于帐户页面处理安全问题的方式造成的。当用户修改密码时，他们可以回答安全问题来重置密码。
通常情况下，Web应用程序会检查“转接”头，以确保数据请求只来自应该具有访问权限的站点。
但是，在这种情况下，这些检查没有正确运行，任何网站都可以获得这些信息。这将允许攻击者对用户配置文件进行调整，更改信息(如用户名)，甚至禁用双因素身份验证，并通过更改密码窃取帐户。
“由于漏洞，如果用户转到我的页面，就有可能对任何帐户进行修改，”他解释说。
“黑客可以访问三星的所有用户服务，私有用户信息，以及云。”
我在蒸汽里发现了一个安全漏洞，给了我每个游戏的许可证钥匙，我只得到了这个.哦，不错：20，000美元
读更多
在一个概念的证明中，研究人员展示了攻击站点如何利用该攻击漏洞将目标的安全问题更改为攻击者的选择之一。随着新的安全问题及其答案，攻击者将使用“重置密码”功能窃取目标的三星帐户。
三星修复了身份盗窃漏洞。
结果发现情况比研究者最初想象的还要糟糕。考虑到该网站上只有两种新产品，于是直接向三星报告了这一问题-这也是通过该网站所做的。在报告这个问题时，他注意到了第三个bug，它允许他强行更改安全问题和答案。
“我首先发现了两个漏洞，但当我登录查看我的报告时，我被转到了个人信息编辑页面，”他解释道。
“这个页面看起来不像一个类似的页面，上面还有一个额外的‘秘密问题’字段。”
总共发现了三个bug，它们分别被评为中等、高和临界。他为自己赚了一笔非常便宜的钱，很好，但还远远不够。20，000美元10月份蒸汽中的一个主要缺陷。
上文内容不用于商业目的，如涉及知识产权问题，请权利人联系博为峰小编(021-64471599-8017)，我们将立即处理。
